Elementor Pro 高危漏洞可导致 WordPress 网站远程代码执行

WordPress 付费插件 Elementor Pro 存在一个高危漏洞，攻击者可上传可执行文件，在服务端实现远程代码执行。 漏洞编号 CVE‑2026‑32475，影响 4.2.2 之前 的 Elementor Pro 全部版本。漏洞出自文件上传模块：文件校验逻辑与文件处理逻辑使用两套独立循环，二者对空文件名上传项的处理逻辑不一致。

专注 WordPress 生态的安全厂商 Patchstack 解释：“问题根源在于，两套循环对空上传项（PHP 返回UPLOAD_ERR_NO_FILE，文件名为空的上传片段）的处理行为不一样。 校验循环和处理循环针对空条目拥有不同的提前退出逻辑。攻击者构造特殊多部分上传数据包，校验模块看到的内容与文件移动模块看到的内容完全不同。”

攻击者构造特殊的多部分上传请求：第一条上传条目文件名为空，紧随其后传入恶意 PHP 载荷。

• 校验逻辑处理第一条空条目后直接退出，触发UPLOAD_ERR_NO_FILE错误，不会校验后面的恶意 PHP 文件。
• 文件处理逻辑仅跳过空条目，继续处理后面的 PHP 文件，将其移动到公开可访问目录：wp‑content/uploads/elementor/forms/。

Elementor 是流行的 WordPress 拖拽式建站工具，Pro 为其付费增强版本，增加表单构建、主题 / 弹窗生成、自定义代码、电商等高级能力，大量中高级站点在使用。

根据 Patchstack 分析，利用该漏洞的前提条件：目标网站发布了包含文件上传字段的 Elementor 表单。

恶意 PHP 上传完成后，文件名由 PHP 的uniqid()生成。该函数并非真随机，而是基于时间生成。

• 攻击者可以通过时间爆破的方式猜出文件名；
• 在部分配置下，网站自动回复邮件会直接返回恶意文件完整访问 URL。

攻击者直接访问该文件 URL，服务器 PHP 解释器就会执行载荷，以 Web 服务账户权限运行任意代码。

漏洞时间线

1. 7 月 16 日，研究员 Tin Pham 向 Patchstack 上报该漏洞，Patchstack 同步通知 Elementor 开发团队。
2. 7 月 17 日，厂商完成补丁开发。
3. 8 月 3 日，Patchstack 完成补丁有效性验证。
4. 8 月 19 日，正式发布修复版本。

Elementor 向订阅用户发布通知：该漏洞仅威胁同时开启文件上传字段、且开启多文件上传选项的 Pro 表单（该选项默认关闭）。其余站点不受漏洞影响，但厂商依旧建议全部站点升级至最新版，降低安全与兼容性风险。

管理员处置建议

1. 将 Elementor Pro 升级到 4.2.2 及以上最新版本；
2. 手动检查目录wp‑content/uploads/elementor/forms/，排查是否存在 PHP 或其他异常恶意文件；

升级补丁仅封堵漏洞入口，不会清除已经上传成功的恶意文件，必须人工核查目录。

目前暂未观测到该漏洞在野外被实际利用的案例。